SOC (Security Operations Center, центр мониторинга и реагирования на инциденты информационной безопасности) - структурное подразделение организации, отвечающее за оперативный мониторинг IT-среды и предотвращение киберинцидентов. Специалисты SOC собирают и анализируют данные с различных объектов инфраструктуры организации и при обнаружении подозрительной активности принимают меры для предотвращения атаки.

SIEM (Security Information and Event Management, управление событиями и информационной безопасностью) – решение для обнаружения, анализа и устранения угроз безопасности. SIEM собирает и упорядочивает данные из различных источников, анализирует их и удаляет нерелевантную информацию.

SIEM является неотъемлемой частью SOC. С помощью SIEM специалисты SOC получают информацию, необходимую для детектирования и управления событиями, связанными с информационной безопасностью.

Основные функции SOC:

1. Постоянный мониторинг ИТ-инфраструктуры, сбор и обработка данных в реальном времени. Специалисты SOC собирают информацию в режиме 24/7/365 со всех систем (конечные точки сети, сетевые устройства и т.д.) для максимально оперативного обнаружения возможных атак. Для этого используются SIEM-решения.
2. Анализ и оценка событий. Операторы SOC собирают и анализируют данные на степень опасности и характер угрозы.
3. Реагирования на инциденты и восстановление. При обнаружении инцидента принимаются меры по его устранению, а также по устранению возможных последствий от атаки, например, если были повреждены какие-то системы.
4. Расследование. Процесс состоит из поиска причин инцидента и выявления слабых мест в ИТ-инфраструктуре. Это необходимо делать для того, чтобы предотвратить подобные случаи в будущем.
5. Обеспечение работоспособности инструментов SOC. Включает в себя поддержку работы граничных систем сетевой безопасности и инфраструктуры SOC, создание собственных правил и сигнатур, а также подбор и внедрение решений, использующихся в работе SOC.

Стоимость SOC зависит от:

1. Лицензии SIEM. Стоимость лицензии SIEM определяется количеством поступающих событий в секунду (EPS).
2. Масштаба инфраструктуры. Чем масштабнее и разнообразнее инфраструктура организации, в рамках которой требуется выявлять инциденты безопасности, тем выше стоимость лицензии SIEM и объем выполняемых работ.
3. Объема работ по внедрению SOC. Зависит от масштаба инфраструктуры, желаемого функционала SOC и количества подключаемых источников.
4. Размера команды SOC и объема технической поддержки.

Для того чтобы иметь представление об итоговой стоимости SOC нужно:

1. Обозначить желаемый функционал SOC.
2. Определиться с моделью построения SOC.
3. Определиться с нужным составом команды SOC и их квалификациями.
4. Определиться с используемыми техническими решениями.